在 iframe 中可以通过 referrerpolicy 指定获取指定资源时设置什么样的 referrer。
在 iframe 中 referrerpolicy 的取值有:
no-referrer
origin
origin-when-cross-origin
unsafe-url
no-referrer-when-downgrade
no-referrer
表示在访问资源的时候不会带上 referrer 信息
origin
表示访问资源的时候,会带上来源页面的信息,包括:host 和 port
origin-when-cross-origin
表示访问不同域的资源,referrer 信息只包含 host 和 port,访问同域的资源时,除了 host 和 port,还会带上源页的 path 信息
不同域
unsafe-url
表示访问资源时,referrer 信息会带上除 fragment、password、username 以外的所有信息,包括:host、port、path,当使用这个 policy 会有安全隐患,会把受 TLS 保护的 origin 信息泄露给不安全的域。
no-referrer-when-downgrade
这个策略是浏览器的默认策略,表示受 TLS 保护的 origin,在访问非 TLS 包含的资源时,会去掉 referrer 信息,反过来访问相同安全级别的域时 referrer 会带上 host、port、path。
以上示例的项目地址:
参考